一、漫步云端前需要考慮的問(wèn)題

 

　　然而，沒(méi)有免費(fèi)的午餐，外包云計(jì)算無(wú)法解決法律風(fēng)險(xiǎn)(伴隨第三方對(duì)數(shù)據(jù)存儲(chǔ)和傳輸位置的知曉而產(chǎn)生)這一關(guān)鍵問(wèn)題。本文討論的即是這一問(wèn)題。在企業(yè)決定采用外包云計(jì)算解決方案時(shí)，必須考慮到以下幾點(diǎn)。

 

　　首先，當(dāng)然需要定義我們?cè)谟懻摰氖鞘裁�，因�(yàn)閷?duì)于“云計(jì)算”，有很多定義。最近，一位知名CIO將其定義為：由某一組織控制虛擬服務(wù)器，終端用戶可通過(guò)網(wǎng)絡(luò)訪問(wèn)的計(jì)算應(yīng)用技術(shù)。我們將“云計(jì)算”定義為：商業(yè)軟件的服務(wù)提供，通過(guò)網(wǎng)絡(luò)來(lái)應(yīng)用軟件和虛擬服務(wù)器上存儲(chǔ)的數(shù)據(jù)。外包云計(jì)算提供了一種商業(yè)化的企業(yè)技術(shù)：基礎(chǔ)設(shè)施即服務(wù)，軟件即服務(wù)，及平臺(tái)即服務(wù)，所有這些服務(wù)提供都是在線的，并且在Web 2.0的框架之下。當(dāng)?shù)谌�方控�?ldquo;云”的任何部分，相關(guān)的數(shù)據(jù)安全、隱私和從規(guī)問(wèn)題就產(chǎn)生了。從某方面來(lái)看，從確定的數(shù)據(jù)線被通信方案(捆綁了來(lái)自n家公司的數(shù)據(jù))所取代，這一問(wèn)題就產(chǎn)生了。第三方試圖充分提高虛擬化技術(shù)的效率，并將傳統(tǒng)上企業(yè)自身?yè)碛械墓δ?基礎(chǔ)設(shè)施、系統(tǒng)平臺(tái)和軟件)商業(yè)化，與此同時(shí)，法律風(fēng)險(xiǎn)產(chǎn)生了。

 

　　第三方解決方案的好處是商業(yè)軟件很好地建立了起來(lái)。從利用多用戶需求的第三方軟件解決方案供應(yīng)商，到外包基礎(chǔ)設(shè)施供應(yīng)商(投資單一用戶無(wú)法實(shí)現(xiàn)的更快更新的技術(shù)解決方案)，第三方可實(shí)現(xiàn)規(guī)模效益，同時(shí)將所提供功能的成本降低。然而，有收益必然有風(fēng)險(xiǎn)，以下是需要重點(diǎn)關(guān)注的風(fēng)險(xiǎn)問(wèn)題。

 

　　1、數(shù)據(jù)的存儲(chǔ)和轉(zhuǎn)移

 

　　傳統(tǒng)的外包協(xié)議中，用戶可與供應(yīng)商商議數(shù)據(jù)存儲(chǔ)地點(diǎn)的控制情況(包括備份流程在哪里進(jìn)行)。這樣，用戶和供應(yīng)商均可了解，針對(duì)相關(guān)數(shù)據(jù)的傳輸法規(guī)，應(yīng)提供哪種管理辦法。然而，對(duì)外包云計(jì)算的成本效益很高，因?yàn)楣��?yīng)商可將數(shù)據(jù)轉(zhuǎn)移到世界任何地方，也可將一個(gè)企業(yè)的數(shù)據(jù)發(fā)送到不同的地點(diǎn)，這取決于容量、應(yīng)用情況和帶寬。自由度的提高將導(dǎo)致處理流程不遵從全球眾多與數(shù)據(jù)存儲(chǔ)和轉(zhuǎn)移相關(guān)的法規(guī)。

 

　　歷史上，外包計(jì)劃中，用戶和供應(yīng)商之間通常談?wù)摰娘L(fēng)險(xiǎn)是：用戶要求供應(yīng)商采用特定流程，以實(shí)現(xiàn)的數(shù)據(jù)轉(zhuǎn)移流程合規(guī)。沒(méi)有這些要求，供應(yīng)商就不對(duì)用戶數(shù)據(jù)的存儲(chǔ)和轉(zhuǎn)移負(fù)法律責(zé)任。隨著時(shí)間的發(fā)展，供應(yīng)商意識(shí)到自己應(yīng)該對(duì)用戶的要求做出回應(yīng)，并且為了保證規(guī)模經(jīng)濟(jì)的持續(xù)增長(zhǎng)，他們必須將這些需求整合進(jìn)解決方案。最終，我們相信外包云計(jì)算供應(yīng)商會(huì)將數(shù)據(jù)轉(zhuǎn)移的從規(guī)組件內(nèi)置于其商業(yè)化技術(shù)服務(wù)，從規(guī)的成本會(huì)由于用戶規(guī)模的擴(kuò)大而被平衡，同時(shí)，外包供應(yīng)商在制定服務(wù)價(jià)格時(shí)將計(jì)入這一成本。

 

　　比如，早期的云供應(yīng)商允許客戶通過(guò)“可用區(qū)域”控制某些特定技術(shù)的數(shù)據(jù)存儲(chǔ)地點(diǎn)。因?yàn)槊總�(gè)國(guó)家的數(shù)據(jù)轉(zhuǎn)移法規(guī)不同，因此云供應(yīng)商可將數(shù)據(jù)存儲(chǔ)在某一事先確定的地區(qū)(比如，歐洲經(jīng)濟(jì)區(qū));遵從此地的數(shù)據(jù)轉(zhuǎn)出法規(guī)。采用這一方法，數(shù)據(jù)可不斷地從這一供應(yīng)商的歐洲服務(wù)器中進(jìn)行轉(zhuǎn)移，而不會(huì)出現(xiàn)從規(guī)問(wèn)題，因?yàn)閿?shù)據(jù)被存儲(chǔ)在特定的經(jīng)許可的區(qū)域。

 

　　2、數(shù)據(jù)安全

 

　　數(shù)據(jù)安全和數(shù)據(jù)保護(hù)通常是外包計(jì)劃中主要關(guān)注的問(wèn)題。外包協(xié)議計(jì)劃精確設(shè)定了供應(yīng)商必須采用的安全管理技術(shù)。這些安全管理計(jì)劃的開展是由敏感數(shù)據(jù)(個(gè)人數(shù)據(jù)或財(cái)政數(shù)據(jù))保護(hù)規(guī)則推動(dòng)的。如何采用外包云計(jì)算解決方案對(duì)其進(jìn)行控制?思科公司的CEO說(shuō)云計(jì)算兼職如同一場(chǎng)數(shù)據(jù)安全的噩夢(mèng)，并且無(wú)法用傳統(tǒng)方式對(duì)其進(jìn)行控制。對(duì)于大多數(shù)公司，對(duì)包含敏感數(shù)據(jù)或秘密數(shù)據(jù)的應(yīng)用軟件實(shí)施外包云計(jì)算，數(shù)據(jù)安全和數(shù)據(jù)保護(hù)是最大障礙。

 

　　有了ASP、電信傳輸、Service Bureau協(xié)議，云計(jì)算協(xié)議將逐漸成為單向的，且協(xié)商起來(lái)較為困難。比如，一份在線的云供應(yīng)商合同是無(wú)法協(xié)商的，并且相當(dāng)偏向供應(yīng)商：供應(yīng)商對(duì)數(shù)據(jù)安全不負(fù)任何責(zé)任;用戶對(duì)數(shù)據(jù)的安全、保護(hù)和備份負(fù)全責(zé);對(duì)所有未授權(quán)訪問(wèn)、使用、毀壞、刪除和損失的任何數(shù)據(jù)，供應(yīng)商也不負(fù)任何責(zé)任。

 

　　因此，與云供應(yīng)商簽訂外包合同需要更認(rèn)真仔細(xì)，少包含術(shù)語(yǔ)和條件。用戶應(yīng)關(guān)注外包云計(jì)算解決方案是否保證了數(shù)據(jù)合規(guī)，最終，用戶將依賴供應(yīng)商提供的解決方案文本，并認(rèn)為已確保合規(guī)(無(wú)論是直接——比如采用銀行或醫(yī)療軟件;還是間接，比如詮釋特定的數(shù)據(jù)存儲(chǔ)地點(diǎn))。結(jié)果是，供應(yīng)商沒(méi)實(shí)現(xiàn)用戶數(shù)據(jù)處理過(guò)程的合規(guī)即為服務(wù)失敗，可被認(rèn)為是未能遵循服務(wù)說(shuō)明，需要依照合同進(jìn)行賠償。

 

　　跟任何外包計(jì)劃一樣，回顧供應(yīng)商的解決方案以決定對(duì)于數(shù)據(jù)訪問(wèn)的控制，這是一個(gè)關(guān)鍵步驟。這一供應(yīng)商解決方案是否實(shí)現(xiàn)了對(duì)企業(yè)數(shù)據(jù)訪問(wèn)權(quán)限的限制，是否實(shí)現(xiàn)了對(duì)訪問(wèn)者的監(jiān)控(這樣你可知道誰(shuí)在何時(shí)訪問(wèn)了哪些數(shù)據(jù))?哪些規(guī)范需要加密?數(shù)據(jù)歸檔的頻率?是否所有的應(yīng)用軟件和軟件進(jìn)行了最新的安全升級(jí)?安全水平協(xié)議是否包括這一條款：安全系統(tǒng)的維持情況是一個(gè)性能參數(shù)。

 

　　3、更換供應(yīng)商

 

　　采用外包云計(jì)算服務(wù)必須考慮到的另一個(gè)風(fēng)險(xiǎn)是:在外包服務(wù)終止前確保業(yè)務(wù)連續(xù)性(business continuity)。大多數(shù)外包協(xié)議都商定了退出計(jì)劃及轉(zhuǎn)移服務(wù)，這包括：將某一格式的數(shù)據(jù)(可被另一供應(yīng)商或企業(yè)內(nèi)部解決方案利用)進(jìn)行轉(zhuǎn)移。特定的云服務(wù)協(xié)議不包含這些問(wèn)題的處理?xiàng)l款。比如，在線云供應(yīng)商協(xié)議允許供應(yīng)商在任意時(shí)間中止協(xié)議，且沒(méi)有保持?jǐn)?shù)據(jù)的責(zé)任。至多，協(xié)議承諾不會(huì)在三十天內(nèi)有意清除數(shù)據(jù)。你必須與供應(yīng)商就終止服務(wù)的問(wèn)題進(jìn)行協(xié)商，內(nèi)容包括：將數(shù)據(jù)轉(zhuǎn)移到另一供應(yīng)商或企業(yè)內(nèi)部，同時(shí)你應(yīng)該確保數(shù)據(jù)定期轉(zhuǎn)移到備份供應(yīng)商那里，以保證在災(zāi)難事件發(fā)生時(shí)業(yè)務(wù)的連續(xù)性。

 

　　4、其他風(fēng)險(xiǎn)

 

　　外包云計(jì)算解決方案的風(fēng)險(xiǎn)有很多與其他外包解決方案相同，但是這些風(fēng)險(xiǎn)很難通過(guò)協(xié)議進(jìn)行轉(zhuǎn)嫁。比如，外包意味著將服務(wù)水平的測(cè)量和報(bào)告任務(wù)轉(zhuǎn)給供應(yīng)商，依靠供應(yīng)商的基礎(chǔ)設(shè)施來(lái)發(fā)送關(guān)鍵性能信息。在云解決方案中，定制空間更小。相似的，除非進(jìn)行精確的外包條款協(xié)商，一旦出現(xiàn)問(wèn)題或合作關(guān)系解除，大多數(shù)供應(yīng)商給用戶的賠償數(shù)額不足。而相對(duì)傳統(tǒng)的外包協(xié)議，云合作協(xié)議所提供的談判空間很小。但是云外包的價(jià)格卻很有誘惑力。

 

　　二、建議

 

　　因?yàn)槠髽I(yè)對(duì)數(shù)據(jù)的控制負(fù)有責(zé)任，因此必須確保企業(yè)的云供應(yīng)商從規(guī)。以下是在實(shí)施外包云計(jì)算時(shí)，一些有用的數(shù)據(jù)保護(hù)措施：

 

　　確定是否外包云計(jì)算適合你的應(yīng)用軟件。如果包含有敏感數(shù)據(jù)，則不適宜外包。

 

　　在將數(shù)據(jù)發(fā)到云系統(tǒng)之前進(jìn)行加密。業(yè)內(nèi)專家認(rèn)為這是減少潛在風(fēng)險(xiǎn)的好方法。

 

　　控制數(shù)據(jù)訪問(wèn)。確保供應(yīng)商限制了數(shù)據(jù)的訪問(wèn)者，并確保了訪問(wèn)者被監(jiān)控。

 

　　銘記e-discovery責(zé)任和迅速獲取供應(yīng)商電子記錄的需求。

 

　　遵從所有必須遵從的規(guī)則。因?yàn)槟愕钠髽I(yè)必須承擔(dān)所有不遵從數(shù)據(jù)保護(hù)法規(guī)而引發(fā)的問(wèn)題。必須明確企業(yè)數(shù)據(jù)的存放地點(diǎn)，云供應(yīng)商必須給你提供這一信息，這樣就可以自檢是否存在從規(guī)風(fēng)險(xiǎn)。如果供應(yīng)商未告知你數(shù)據(jù)的存放地點(diǎn)，那么不該發(fā)送任何敏感數(shù)據(jù)。

 

　　可能的情況下，控制數(shù)據(jù)的存放地點(diǎn)。這是確保供應(yīng)商(更深層次說(shuō)，對(duì)于用戶同樣如此)遵從數(shù)據(jù)安全法規(guī)的最好辦法。限制云供應(yīng)商對(duì)數(shù)據(jù)集存放地點(diǎn)的決定權(quán)。

 

　　通過(guò)協(xié)議條款來(lái)要求供應(yīng)商更新其保護(hù)系統(tǒng)，以實(shí)現(xiàn)與業(yè)內(nèi)最佳實(shí)施策略相一致。

 

　　制訂適宜的災(zāi)難恢復(fù)和業(yè)務(wù)連續(xù)性計(jì)劃。要求供應(yīng)商對(duì)你的企業(yè)數(shù)據(jù)進(jìn)行存檔，這樣在系統(tǒng)崩潰時(shí)仍可訪問(wèn)數(shù)據(jù)。

 

　　由非云供應(yīng)商的另一方對(duì)定期你企業(yè)的數(shù)據(jù)進(jìn)行備份和/或存儲(chǔ)。

 

　　利用技術(shù)和從規(guī)審計(jì)來(lái)確保數(shù)據(jù)安全及系統(tǒng)的完整性。

 

　　在協(xié)約終止時(shí)，數(shù)據(jù)傳回或供應(yīng)商備份的流程清晰。

 

　　靈活地控制與外包云計(jì)算供應(yīng)商之間關(guān)系，利用服務(wù)水平來(lái)保證供應(yīng)商從規(guī)。